C#和SQl注入字符串的攻击和防止注入字符转的攻击

--SQl中
--建立ren的数据库&＃xff0c;插入一条信息
create database ren
go
use ren
go
create table xinxi
(
code nvarchar(20) primary key,--编号
name nvarchar(50)--名字
)
insert into xinxi values(&＃39;1001&＃39;,&＃39;zhangsan&＃39;)

for (; ; ){bool b &＃61; false;//利用中间变量Console.Write("请输入要修改的编号&＃xff1a;");string no &＃61; Console.ReadLine();//查询展示SqlConnection zhancnn &＃61; new SqlConnection("server&＃61;.;database&＃61;ren;user&＃61;sa;pwd&＃61;123");//连接//操作的语句SqlCommand zhancmd &＃61; zhancnn.CreateCommand();zhancmd.CommandText &＃61; "select * from xinxi where code&＃61;&＃39;" &＃43; no &＃43; "&＃39;";//执行操作的语句
zhancnn.Open();SqlDataReader ss &＃61; zhancmd.ExecuteReader();if (ss.HasRows)//数据库中是否有要修改的数据
{b &＃61; true;}zhancnn.Close();if (b &＃61;&＃61; true)//如果有要修改的数据
{Console.Write("找到【" &＃43; no &＃43; "】的信息&＃xff0c;请输入要修改的名字&＃xff1a;");string mingzi &＃61; Console.ReadLine();zhancmd.CommandText &＃61; "update xinxi set name&＃61;&＃39;"&＃43;mingzi&＃43;"&＃39; where code&＃61;&＃39;"&＃43;no&＃43;"&＃39;";zhancnn.Open();zhancmd.ExecuteNonQuery();zhancnn.Close();Console.WriteLine("修改完毕&＃xff01;");break;}else//如果没有要修改的数据
{Console.WriteLine("数据库中没有该条信息&＃xff0c;请输入正确的编码&＃xff01;&＃xff01;");}}Console.ReadLine();

//C#中 for (; ; ){bool b &＃61; false;//利用中间变量Console.Write("请输入要修改的编号&＃xff1a;");string no &＃61; Console.ReadLine();//查询展示SqlConnection zhancnn &＃61; new SqlConnection("server&＃61;.;database&＃61;ren;user&＃61;sa;pwd&＃61;123");//连接//操作的语句SqlCommand zhancmd &＃61; zhancnn.CreateCommand();zhancmd.CommandText &＃61; "select * from xinxi where code&＃61;&＃39;" &＃43; no &＃43; "&＃39;";//执行操作的语句
zhancnn.Open();SqlDataReader ss &＃61; zhancmd.ExecuteReader();if (ss.HasRows)//数据库中是否有要修改的数据
{b &＃61; true;}zhancnn.Close();if (b &＃61;&＃61; true)//如果有要修改的数据
{Console.Write("找到【" &＃43; no &＃43; "】的信息&＃xff0c;请输入要修改的名字&＃xff1a;");string mingzi &＃61; Console.ReadLine();zhancmd.CommandText &＃61; "update xinxi set name&＃61;&＃64;mingzi where code&＃61;&＃64;no;";//&＃64;变量名:占位符。注意&＃xff1a;name&＃61;&＃64;mingzi没有引号
zhancmd.Parameters.Clear();//必须先清空里面所有内容zhancmd.Parameters.Add("&＃64;mingzi",mingzi);//类似哈希表。第一个值随便取&＃xff0c;必须跟上边一致&＃xff1b;第二个是变量zhancmd.Parameters.Add("&＃64;no",no);zhancnn.Open();zhancmd.ExecuteNonQuery();zhancnn.Close();Console.WriteLine("修改完毕&＃xff01;");break;}else//如果没有要修改的数据
{Console.WriteLine("数据库中没有该条信息&＃xff0c;请输入正确的编码&＃xff01;&＃xff01;");}}Console.ReadLine();
//如果在执行窗口输入上跟上次一样的内容&＃xff0c;那么输出的结果就是把”那句注入的代码“和”要改的name“ 作为一整个字符串进行处理。